App Store, reklamowany przez Apple jako bastion bezpieczeństwa, po raz kolejny okazał się polem do popisu dla cyberprzestępców. Trzech poszkodowanych użytkowników pozwało giganta z Cupertino, twierdząc, że fałszywa aplikacja portfela kryptowalutowego, którą pobrali z oficjalnego sklepu, doprowadziła do utraty Bitcoinów o łącznej wartości około 1,8 miliona dolarów.

Podróbka Sparrow Wallet

Pozew, złożony 24 lipca w Kalifornii, dotyczy fałszywej aplikacji podszywającej się pod legalny portfel Bitcoin Sparrow Wallet. Oszukańcze oprogramowanie nakłaniało ofiary do wprowadzenia tzw. fraz odzyskiwania (seed phrases), co dało przestępcom pełną kontrolę nad ich aktywami.

Co kluczowe, oryginalny Sparrow Wallet to aplikacja stacjonarna na systemy Windows, macOS i Linux – nie istnieje jej oficjalna wersja na iOS. Mimo to, jak wynika z pozwu, w App Store przez długi czas funkcjonowała aplikacja podszywająca się pod ten produkt, a Apple nie tylko nie zareagowało, ale wręcz ją promowało.

Trzy ofiary, trzy historie

Poszkodowani to James Ramirez, Christopher Ellis i Jalen Delgado. Każdy z nich pobrał fałszywkę w innym terminie i każdy stracił w ten sposób znaczną część swojego majątku:

  • Delgado pobrał aplikację około 1 maja 2025 roku. Po wprowadzeniu frazy odzyskiwania stracił 1,05033242 Bitcoina o wartości około 120 tysięcy dolarów.
  • Ramirez zainstalował program 25 lipca 2025 roku i stracił 7,4 Bitcoina o wartości około 875 tysięcy dolarów. Tego samego dnia zgłosił sprawę Apple, ale – jak twierdzi – firma nigdy się z nim nie skontaktowała, mimo kolejnych prób.
  • Ellis padł ofiarą zaledwie kilka dni później, około 3 sierpnia. Po wprowadzeniu seed phrase z jego konta zniknęły kryptowaluty o wartości około 840 tysięcy dolarów. Również natychmiast zgłosił kradzież Apple.

Apple wiedziało i… promowało?

Pozew zarzuca Apple rażące zaniedbania. Firma nie tylko nie weryfikowała aplikacji, ale według powodów pozycjonowała fałszywego Sparrow Wallet wysoko w rankingach i umieszczała go w wyselekcjonowanych kolekcjach aplikacji kryptowalutowych, skutecznie polecając go obok legalnych programów.

Co więcej, twórca prawdziwego Sparrow Wallet, Craig Raw, ostrzegał przed oszustwem już 6 stycznia 2024 roku, czyli ponad rok przed tym, jak powodowie ponieśli straty. W poście w mediach społecznościowych pisał wtedy, że fałszywa aplikacja nadal jest dostępna w App Store, mimo zgłoszeń jego i innych użytkowników.

Raw podjął też nietypową próbę ochrony użytkowników – przesłał do App Store nieopublikowaną aplikację zastępczą, która miała wyjaśniać, że mobilne wersje Sparrow Wallet są fałszywe. Jak opisał serwis MacRumors, Apple początkowo oznaczyło jego konto deweloperskie do usunięcia, zarzucając mu rzekome „nieuczciwe działania”. Decyzję tę później cofnięto.

Stanowisko Apple

Przedstawiciele Apple twierdzą, że firma zareagowała szybko, usuwając aplikacje podszywające się pod Sparrow Wallet i zamykając powiązane z nimi konta deweloperskie. Apple podkreśla, że deweloperzy, których własność intelektualna została naruszona, mogą zgłosić spór do działu prawnego, a klienci mogą korzystać z usługi “Zgłoś problem”. Firma zapewnia, że podejmuje natychmiastowe działania, gdy aplikacja narusza jej wytyczne.

Nowe zagrożenie: SparkKitty

To nie jedyne niebezpieczeństwo czyhające na użytkowników kryptowalut w oficjalnych sklepach z aplikacjami. Firma Check Point wykryła nowe złośliwe oprogramowanie o nazwie SparkKitty, które było dystrybuowane przez App Store, Google Play oraz zewnętrzne sklepy. Wykorzystuje ono technologię OCR do skanowania galerii zdjęć w smartfonach w poszukiwaniu zapisanych jako zdjęcia lub zrzuty ekranu fraz odzyskiwania portfeli.

Jedna z podszywających się aplikacji – SOEX na Androida – zdążyła zostać pobrana ponad 10 000 razy, zanim usunięto ją z Google Play.

Czego domagają się powodowie?

Poszkodowani wnoszą do sądu o zobowiązanie Apple do zwrotu skradzionych kryptowalut, odszkodowania i zadośćuczynienia o charakterze kary umownej (punitive damages), a także pokrycia kosztów zastępstwa procesowego. Domagają się również, aby firma udoskonaliła i publicznie ujawniła procedury wykrywania oraz usuwania oszukańczych aplikacji, a także wprowadziła ostrzeżenia o ryzyku związanym z aplikacjami kryptowalutowymi.